韓国金融機関で相次ぐ情報流出…ダークウェブでAI攻撃ツール流通、専門家が警戒

【10月07日 KOREA WAVE】韓国の新韓銀行とKB国民銀行で相次いで個人情報流出が発生するなか、人工知能（AI）エージェントを利用したサイバー攻撃への備えが必要だと、セキュリティー専門家が警鐘を鳴らしている。

新韓銀行では約2万5000人の個人情報が流出し、KB国民銀行も外部からの侵入によって顧客119人の情報が流出したと明らかにした。

新韓銀行への攻撃に使われたと推定されるサーバーでは、AIを基盤とした侵入テストツールに関連する痕跡が見つかったとの指摘も出ている。実際の攻撃にAIが使われたかは確認されていないが、専門家はAIエージェントが脆弱性の探索から攻撃までを自動化することで、既存のセキュリティー体制に新たな負担をもたらす可能性があると指摘する。

セキュリティー業界によると、新韓銀行を標的にしたとみられる「クレデンシャルスタッフィング」に関連し、攻撃に関係するウェブサービスのHTMLタイトルから「ARTEX AI自律侵入テストコンソール」を意味する文字列が確認されたという。

これは該当サーバーに「ARTEX AI」がインストールされていたか、関連環境が構築されていた可能性を示す。ただし、文字列だけでは実際にツールが使用されたかは確認できない。

KB国民銀行では、従業員向けモバイル業務支援システムへの外部侵入により、顧客119人の情報が流出した。ただ、両銀行の事案ともAIエージェントが実際の攻撃に使われたかは確認されていない。

韓国のAI・セキュリティー専門家は、自ら判断して目的達成に向けて動くAIエージェントの登場により、サイバー攻撃の規模が拡大し、高度化しているとみている。

高麗大学のチェ・ビョンホAI研究員教授は、従来のセキュリティーシステムでは現在のAIエージェントによる攻撃への対応が難しいと指摘。「以前は脆弱性を攻撃して相手が防御すれば攻撃システムが止まったが、AIエージェントはその都度目標を変えながら別の脆弱性を探す」と説明した。

世宗大学情報保護学科のパク・ギウン教授も、従来はAIをハッキングの道具として使っても、人間が判断して攻撃し、失敗すれば別の方法を試していたが、現在はAIエージェントが人間の指示なしに複数の方法を自ら試すようになったと指摘した。

AIエージェントの登場によって、ハッキングに必要な時間や費用も大幅に減ったとの分析が出ている。システムが頻繁に更新されることで脆弱性を巡る変数が増える一方、AIが脆弱性を素早く見つけるため、すべての脆弱性を防ぐ必要がある防御側より、一つの弱点を見つければよい攻撃側が有利になりやすいという。

チェ教授は、新韓銀行の事案で使用された可能性が指摘されたARTEX AIについて、武器化された形でダークウェブに出回っていると説明した。また、犯罪向けのオールインワン型エージェントなどを使ったサイバー攻撃があり、システム全体をスキャンして大きな脆弱性を見つけ、すぐに攻撃を仕掛けるため、従来のセキュリティーでは防ぐのが難しいと指摘した。

専門家は対策として、実際の攻撃者と同じように組織全体への攻撃を再現し、防御体制を検証する「レッドチーミング」と、セキュリティー向けAIモデルの高度化を挙げている。

チェ教授は、レッドチームによる積極的な内部攻撃テストを重ね、見つかった脆弱性を継続的に修正する必要があると強調。パク教授も、攻撃者の視点に立った侵入テストなど、継続的な自己点検がさらに重要になるとした。

中央大学AI学科のイ・ジェソン教授は、韓国でもセキュリティーAIモデルの研究が進められているとし、「AIによるサイバー攻撃に対応するには、同様にAI防御の水準も高めなければならない」と述べた。

(c)news1/KOREA WAVE/AFPBB News